Si votre équipe de sécurité a respiré un peu plus facilement l'année dernière lorsque les gros titres sur les ransomwares semblaient ralentir, de nouvelles recherches suggèrent que ce soulagement était peut-être prématuré. Selon un rapport de ZDNET, le déclin apparent de l'activité des ransomwares n'était pas du tout un repli des cybercriminels. Il s'agissait d'une réorganisation, les attaquants changeant de cibles, de méthodes et de stratégies de monétisation plutôt que de reculer. Pour les entreprises qui élaborent des stratégies de défense contre les ransomwares en se basant sur le paysage des menaces de l'année dernière, c'est un signal d'alarme important.

Pourquoi le "déclin" des ransomwares était un mirage

En apparence, une baisse des incidents de ransomwares signalés ressemble à une bonne nouvelle. Mais les chercheurs soulignent que le simple décompte des incidents peut être trompeur. Certains groupes de ransomwares changent de nom, se scindent ou se font discrets pour mieux réapparaître sous de nouvelles appellations. D'autres passent d'attaques nombreuses mais de faible valeur à des opérations moins fréquentes mais plus ciblées contre des organisations capables de payer des rançons plus élevées. Lorsqu'on mesure le succès uniquement au nombre de gros titres, on passe à côté de ce changement de stratégie sous-jacent. La menace n'a pas diminué, elle a changé de forme, et cette distinction est capitale pour la manière dont les entreprises allouent leurs budgets et leur attention en matière de sécurité.

Comment les groupes de ransomwares réorganisent leurs tactiques

Cette réorganisation se manifeste de plusieurs manières. Les attaquants combinent de plus en plus le vol de données avec le chiffrement, de sorte que même une entreprise disposant de sauvegardes solides reste confrontée à la menace de fuite d'informations sensibles si elle refuse de payer. Ce modèle de double extorsion est exactement ce qui s'est passé lorsque Stadler Rail a refusé une demande de rançon de 12,3 millions de dollars d'un groupe se faisant appeler Everest, pariant que sa propre résilience l'emportait sur le risque de données exposées. D'autres groupes font preuve de plus de créativité sur le plan technique. La souche du ransomware GodDamn qui abuse d'un pilote signé pour désactiver les outils antivirus montre comment les attaquants trouvent des moyens de contourner les défenses mêmes que les entreprises supposent opérationnelles en arrière-plan. Et les ransomwares ne se limitent pas aux cibles évidentes comme la finance ou la santé. L'attaque contre Cropwise, la plateforme d'agriculture de précision liée au groupe Syngenta, revendiquée par un groupe appelé ShadowByt3$, rappelle que tout secteur détenant des données opérationnelles précieuses est une cible potentielle.

Les 4 défenses essentielles dont les entreprises ont besoin maintenant

Face à cette réorganisation, les chercheurs en sécurité pointent une poignée de défenses fondamentales qui restent indispensables, quelle que soit l'évolution du paysage des menaces. Premièrement, des sauvegardes résilientes, testées et isolées du réseau principal, afin que le chiffrement des systèmes de production ne compromette pas également votre chemin de récupération. Deuxièmement, des contrôles d'identité et d'accès solides, incluant l'authentification multifacteur, car des identifiants volés ou faibles restent l'un des points d'entrée les plus courants pour les attaquants. Troisièmement, une application rapide des correctifs et une gestion des vulnérabilités, pour combler les brèches qui permettent aux attaquants de s'infiltrer avant même que les défenseurs ne s'en aperçoivent. Quatrièmement, la segmentation réseau, qui limite la distance qu'un attaquant peut parcourir une fois à l'intérieur, contenant les dégâts plutôt que de permettre à une simple tête de pont de se transformer en compromission complète du réseau.

Aucune de ces idées n'est nouvelle, mais le réagencement des tactiques des ransomwares rappelle qu'en négliger une seule crée une ouverture que les attaquants cherchent activement à exploiter.

La place des VPN et de l'accès chiffré dans la résilience face aux ransomwares

L'accès distant sécurisé joue un rôle discret mais crucial dans cette pile défensive. Les VPN et autres outils de connexion chiffrée garantissent que les données circulant entre les employés distants, les sites distants et les systèmes centraux ne sont pas exposées à l'interception, et ils peuvent être configurés pour imposer le type d'accès segmenté qui limite les déplacements latéraux en cas de compromission des identifiants. Associer un VPN à des politiques d'accès strictes signifie que même si un attaquant prend pied, il n'obtient pas automatiquement une carte de l'ensemble de votre réseau. Cela est particulièrement pertinent alors que les groupes de ransomwares ciblent de plus en plus les petites organisations et agences qui n'ont pas forcément d'équipes de sécurité dédiées, comme l'a montré le cas d'une agence gouvernementale américaine qui a payé environ 1 million de dollars à un groupe appelé Kairos après le vol de 2 To de données. Un accès chiffré et segmenté n'arrêtera pas toutes les attaques, mais il augmente le coût et la complexité pour les attaquants, ce qui suffit souvent à les faire passer à une cible plus facile.

Ce que cela signifie pour vous

Si vous dirigez l'informatique ou la sécurité d'une petite ou moyenne entreprise, le message clé n'est pas la panique, mais le recalibrage. Ne partez pas du principe que des gros titres plus légers l'année dernière signifient que la menace est passée. Les groupes de ransomwares sont des entreprises adaptatives à part entière, et ils réagissent à ce qui fonctionne. Cela signifie que vos défenses doivent être tout aussi adaptatives, revues régulièrement plutôt que traitées comme une liste de contrôle ponctuelle.

Actions concrètes à mettre en œuvre

Auditez votre stratégie de sauvegarde et confirmez que les sauvegardes sont isolées et régulièrement testées pour la restauration, pas seulement pour la création. Passez en revue qui a accès à quoi, et renforcez l'authentification multifacteur sur tous les comptes distants et privilégiés. Restez à jour sur les correctifs, en particulier pour les systèmes exposés sur Internet et l'infrastructure VPN elle-même. Enfin, évaluez si votre segmentation réseau et votre configuration d'accès distant sécurisé contiendraient réellement un attaquant qui a franchi votre première ligne de défense, au lieu de supposer qu'elle ne sera jamais mise à l'épreuve. Les organisations qui traitent les stratégies de défense contre les ransomwares à l'échelle de l'entreprise comme une discipline continue, et non comme un projet terminé, sont les mieux placées pour résister à la forme que prendra la menace à l'avenir.